Evropský sbor pro ochranu osobních údajů (EDPB) na svém posledním plenárním zasedání přijal pokyny k uplatňování pravomoci ukládat správní pokuty ve vztahu k ostatním nápravným pravomocem podle GDPR. Zároveň schválil konečnou verzi pokynů ke vzájemnému působení nařízení o digitálních službách a GDPR. O výsledku zasedání informoval EDPB 21. září 2026 a o den později také Úřad pro ochranu osobních údajů.

Jádrem nových pokynů je pětistupňová metodika, podle které mají dozorové úřady postupovat při rozhodování o pokutě. Nejdřív se ověřuje, zda porušení může podle GDPR nebo vnitrostátního práva vést k uložení pokuty. Poté se určuje, kdo za porušení odpovídá. Třetím krokem je posouzení, zda bylo porušení úmyslné, nebo způsobené nedbalostí. Čtvrtý krok vyhodnocuje polehčující a přitěžující okolnosti. Na závěr se posuzuje, zda by pokuta byla účinná, přiměřená a odrazující.

Pokyny zahrnují také přehled nápravných pravomocí, které mají dozorové úřady k dispozici, tedy varování, napomenutí, příkazy, omezení a odnětí osvědčení. Doplňuje je 14 praktických příkladů, jak s těmito nástroji v konkrétních situacích nakládat. Otázka, kterou pokyny řeší, nezní jen „jak vysoká má být pokuta“, ale především „zda a v jaké kombinaci s dalšími opatřeními ji vůbec uložit“.

Místopředsedkyně EDPB Jelena Virant Burnik uvedla: „Nové pokyny EDPB jsou významným krokem k dalšímu sladění způsobu, jakým úřady pro ochranu osobních údajů rozhodují o tom, zda by měla být uložena správní pokuta.“ Pokyny jsou podle EDPB v tuto chvíli předmětem veřejné konzultace, která potrvá do 13. listopadu 2026, takže mají správci, zpracovatelé i odborná veřejnost možnost k nim předložit připomínky.